SOMMARIO: L’articolo, dopo aver verificato il ruolo sempre più incisivo che l’intelligenza artificiale sta svolgendo nel settore finanziario, si focalizza sulla disciplina dettata dal Regolamento (UE) 2024/1689 (AI Act) in ordine agli istituti finanziari. In tale contesto vengono analizzati gli obblighi addossati a un istituto finanziario allorché agisce in veste di fornitore oppure di deployer di un sistema di intelligenza artificiale, mettendo in evidenza come uno dei profili maggiormente delicati attenga all’esigenza di coordinamento con le regole settoriali già in vigore. L’indagine si estende anche ai meccanismi di vigilanza e controllo sui mercati dove operano gli istituti finanziari che si avvalgono dell’intelligenza artificiale.
ABSTRACT: After acknowledging the increasingly significant role artificial intelligence plays in the financial sector, the article focuses on the regulatory framework set out by Regulation (EU) 2024/1689 (AI Act) as it refers to financial institutions. In this context, the analysis deals with the obligations imposed on financial institutions acting as providers or deployers of artificial intelligence systems, highlighting the critical need for coordination with existing sectoral provisions. The investigation also extends to the market oversight and control mechanisms applicable to financial institutions that use artificial intelligence.
1. L’intelligenza artificiale nel settore finanziario: una presenza sempre più ingombrante
Anche al di fuori della ristretta cerchia degli addetti ai lavori, è sempre più salda la convinzione che nella prima parte del ventunesimo secolo l’intelligenza artificiale ha rinnovato profondamente il settore finanziario[1]. Convinzione, invero, non semplicemente scaturente dal fiorire di analisi attorno al fenomeno, ma supportata da dati quantitativi[2], espressivi a loro volta di tendenze ben delineate. Il cammino è segnato e alcuni mutamenti sembrano orami irreversibili, ma non mancano ostacoli che frenano la corsa verso l’efficienza e l’innovazione[3].
Si allude non di rado a una cambio di passo, a una svolta epocale[4]. Come pure non manca chi, anche in questo ambito, ha evocato la nozione di “impatto trasformativo”[5], concetto che usualmente viene riferito a una più ampia gamma di situazioni, se non addirittura alla trama profonda di una frazione non trascurabile di contesti sociali propri dell’esperienza contemporanea[6]. L’osservazione della realtà mostra come l’intelligenza artificiale si sia già annidata in ciascuna delle tre macro-aree funzionali in cui si articola la prestazione dei servizi finanziari. I dispositivi basati sull’intelligenza artificiale vanno diffondendosi, ancorché con un grado di penetrazione disomogeneo fra i diversi settori, nelle attività di back office (ambito in cui si registra l’uso più intenso), in quelle di front office (che invece occupa il gradino inferiore della scala), come pure in sede di risk and compliance (attestantesi in posizione intermedia)[7]. E stando ai dati disponibili si evince come coloro che si candidano a trarre i maggiori benefici economici da questo anelito all’innovazione sono gli operatori pronti a utilizzare l’intelligenza artificiale non soltanto nell’ambito di processi elementari o routinari, ma anche per lo svolgimento di compiti più sofisticati[8]. Per non parlare delle ricadute positive attese in punto di “governance performance”, specie a livello del management delle imprese operanti nel campo della finanza[9].
Una spinta molto forte al cambiamento è poi attribuibile alla progressiva affermazione dell’intelligenza artificiale agentica[10].
Si tratta in ogni caso di un processo ancora in corso, che si è sviluppato – e continua imperterrito a svilupparsi – lungo più direttrici. Provando a schematizzare, con tutte le inevitabili semplificazioni che ciò comporta, si può abbozzare una prima mappa delle zone in cui con maggior forza sembra percepirsi la ventata innovativa: il mercato azionario; i modelli di trading; la previsione della volatilità; la gestione del portafoglio; la valutazione di performance, rischio e default; le criptovalute; i derivati; il rischio di credito; l’analisi del sentiment degli investitori; la gestione del mercato valutario. Tutti ambiti su cui si sono già avviati percorsi di ricerca e approfondimento, specie sul versante delle scienze economiche[11]. La lista, già nutrita, è prevedibilmente destinata ad allungarsi. Esito verso il quale convergono la pervasività degli impieghi dell’intelligenza artificiale e la vocazione espansiva della categoria dei “servizi finanziari”. Relativamente a quest’ultimo aspetto, focalizzando l’attenzione sull’ordinamento dell’Unione Europea, non si fa fatica a rendersi conto della portata inclusiva di siffatta nozione[12], i cui confini – se si guarda al complesso della produzione normativa – appaiono persino più estesi della già ampia (e longeva) definizione offerta dalla Direttiva 2002/65/CE, concernente la commercializzazione a distanza di servizi finanziari ai consumatori[13], che trova una perfetta corrispondenza in quella fornita dalla Direttiva 2011/83/UE, sui diritti dei consuamtori[14]. Catturano invero una vasta gamma di situazioni le descrizioni rinvenibili nel contesto degli accordi di partenariato o di libero scambio conclusi tra l’Unione Europea (e prima le Comunità Europee) e alcuni Stati terzi. A titolo esemplificativo, nel quadro del partenariato con l’Uzbekistan si annoverano ben sedici categorie di servizi finanziari[15]. Quattro appartengono al gruppo «Assicurazioni e servizi connessi»[16]. Le rimanenti sono collocate sotto l’etichetta «Servizi bancari e altri servizi finanziari (escluse le assicurazioni)»[17]. L’elencazione scende a un significativo grado di dettaglio, ma è presentata come non esaustiva.
Qualcosa di simile è dato rinvenire in seno all’Accordo di libero scambio con la Repubblica di Corea[18]. Qui trova posto un ulteriore corposo elenco, dove figura ancora la summa divisio “servizi assicurativi/ servizi bancari e altri servizi finanziari”, ma le singole voci prese in considerazione presentano una diversa organizzazione interna e per verti versi si differenziano quanto alla loro formulazione[19].
L’avvento del Regolamento (UE) 2024/1689 sull’intelligenza artificiale non è tale da essere prodromico di moti rivoluzionari rispetto alla regolazione della prestazione dei servizi finanziari; sennonché non potrebbe nemmeno concludersi sulla base di meri elementi quantitativi (in primis il modesto numero di riferimenti diretti e indiretti alla finanza negli articoli e nei considerando), nel senso che il suo impatto nel settore in esame è poco più trascurabile[20]. Di per sé l’avvento del Regolamento sull’IA, nella misura in cui si innesta in un tessuto normativo in cui erano già presenti indicazioni finalizzate alla gestione della sicurezza informativa lato sensu nel campo della finanza [21], quali in primis le regole dettate dal Regolamento DORA[22], impone all’interprete di attivarsi non solo per depotenziare eventuali conflitti ermeneutici, ma anche per valorizzare le sinergie tra i provvedimenti legislativi in questione e ricostruire un quadro quanto più possibile coeso. Nell’economia della presente trattazione, si può solo accennare alla questione. In ogni caso, è opportuno dar conto della tesi in virtù della quale, analizzando le interferenze tra AI Act e DORA (e tenendo conto anche delle connessioni con alcune disposizioni del GDPR), è possibile cogliere i segni di un nuovo standard regolatorio per gli istituti finanziari, denominato ‘digital suitability’[23].
D’altro canto, a ben vedere, è indubbia l’importanza che riveste l’inclusione nel novero dei sistemi di IA ad alto rischio (in quanto figurano nell’Allegato III), di due gruppi di sistemi che hanno a che fare con specifici servizi finanziari: 1) quelli destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie (punto 5, lett. c); 2) quelli destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie (punto 5, lett. d)[24]. Ma – se non ci si arresta alla constatazione che si è al cospetto di una disciplina lacunosa[25] – si scopre che c’è dell’altro. In particolare, le considerazioni che si svilupperanno nella pagine che seguono intendono ricostruire il quadro delle disposizioni destinate a entrare in scena allorquando un istituto finanziario, eseguendo un’operazione di qualsivoglia natura legata più o meno strettamente alla sua presenza sul mercato, si rapporta a un sistema di IA come fornitore o come deployer. Alla luce delle scelte regolatorie compiute dal legislatore UE, si profila l’ulteriore esigenza di indagare i profili relativi al controllo e alla vigilanza degli istituti finanziari coinvolti.
2. Sistemi ad alto rischio il cui fornitore o deployer assume le vesti di un istituto finanziario
2.1 Il focus sugli istituti finanziari e l’esigenza di coordinamento con le regole settoriali
Nel testo del Regolamento sull’intelligenza artificiale si trovano alcune disposizioni rivolte agli istituti finanziari operanti in qualità di fornitore o di deployer di sistemi di IA che presentano un coefficiente di rischio elevato. Ci troviamo evidentemente all’interno del lunghissimo Capo III del Regolamento (dedicato per l’appunto ai sistemi ad alto rischio), e più specificatamente nel quadro della Sezione 3 di detto Capo, intitolata «Obblighi dei fornitori e dei deployer dei sistemi di IA ad alto rischio e di altre parti». Il riferimento all’istituto finanziario vale evidentemente a catturare qualsiasi tipologia di entità professionale che opera nel settore finanziario, erogando taluno dei servizi cui si accennava nel paragrafo introduttivo. Non molto tempo fa la Cassazione, intervenendo su una questione di matura tributaria, si è espressa nel senso che l’espressione “istituto finanziario”, trattandosi oltretutto di un quid proveniente da «un contesto internazionale necessariamente sintetico rispetto alle fattispecie nazionali di varia natura e conformazione normativa interna, deve interpretarsi in senso ampio, essendo caratterizzata ed unificata dall’esposizione a rischio dell’economia reale in seguito alle possibili condotte degli operatori»[26]. Mutatis mutandis, anche nel contesto di cui ci occupiamo si ravvisa un’esigenza non dissimile: ove si adottasse un approccio di segno opposto, l’inconveniente sarebbe quello di limitare eccessivamente la messa in opera delle regole di cui si dirà tra breve.
A menzionare la figura in esame sono anzitutto tre articoli consecutivi dedicati ai fornitori dei sistemi di IA ad alto rischio: l’art. 17, riguardante il sistema di gestione della qualità; l’art. 18, in tema di conservazione dei documenti; l’art. 19, circa la conservazione di log generati automaticamente. Per quel che concerne i deployer dei predetti sistemi, i cui obblighi vengono delineati dall’art. 26, il legislatore eurounitario prende in considerazione il monitoraggio del sistema (par. 5) e, ancora una volta, la conservazione dei log generati automaticamente (par. 6).
Preliminarmente, appare indispensabile determinare se, e a quali condizioni, un istituto finanziario può avere la qualifica di fornitore o di deployer. Avuto riguardo alle definizioni che di tali figure soggettive offre il Regolamento sull’IA, di primo acchito sembrerebbe naturale ricondurre gli istituti finanziari sotto l’egida del deployer. Ciò in effetti si verifica quante volte tali istituti hanno a che fare, evidentemente per finalità professionali, con un sistema di IA sviluppato da altri e non customizzato (art. 3, n. 4). Per contro, è difficile immaginare che un istituto finanziario sviluppi in prima persona un sistema di IA e, per questa via, sia annoverabile tra i fornitori (art. 3, n. 3).
Tuttavia, ci sono anche altre strade che portano all’assoggettamento degli obblighi previsti per il fornitore, vuoi perché un soggetto è direttamente considerato tale, vuoi perché il medesimo viene al fornitore equiparato. Rileva in primo luogo il caso di chi si rivolge a un provider per fargli sviluppare un sistema di IA e quindi lo mette in servizio con il proprio nome o marchio; ricorrendo tali presupposti, costui è un fornitore a tutti gli effetti (art. 3, n. 3). Ancora, se si fuoriesce dal recinto delle definizioni, ci si imbatte nella disposizione, valevole nel contesto dei sistemi di IA ad alto rischio, per cui un soggetto che ha tutte le caratteristiche per essere riguardato alla stregua di un deployer (ovvero di un importatore o distributore) finisce per essere assimilato al fornitore, qualora ricorra uno dei presupposti ivi specificamente indicati: «a) se appone il proprio nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato o messo in servizio, fatti salvi accordi contrattuali che prevedano una diversa ripartizione degli obblighi al riguardo; b) se apporta una modifica sostanziale a un sistema di IA ad alto rischio già immesso sul mercato o già messo in servizio in modo tale che resti un sistema di IA ad alto rischio a norma dell’articolo 6; c) se modifica la finalità prevista di un sistema di IA, anche un sistema per finalità generali, che non è stato classificato come ad alto rischio e che è già stato immesso sul mercato o messo in servizio in modo tale che il sistema di IA interessato diventi un sistema di IA ad alto rischio a norma dell’articolo 6» (art. 25, par. 1)[27].
C’è inoltre da soffermarsi su un aspetto che accomuna tutte le sopracitate disposizioni. Esse hanno per destinatari gli istituti finanziari che sono assoggettati a requisiti in materia di governance, di dispositivi o di processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari. Ciò vuol dire che, in virtù della normativa settoriale, i fornitori e i deployer in questione sono chiamati a fare i conti con una serie di adempimenti, i quali potrebbero investire aspetti suscettibili di sovrapporsi, in tutto o in parte, a quelli scaturenti dagli articoli del Regolamento sull’IA poc’anzi elencati. Come mette in luce l’incipit del considerando 158, ciò discende dal fatto che nelle norme eurounitarie in tema di servizi finanziari si possono rintracciare «regole e requisiti in materia di governance interna e di gestione dei rischi che sono applicabili agli istituti finanziari regolamentati durante la fornitura di tali servizi, anche quando si avvalgono di sistemi di IA»[28].
2.2 Obblighi gravanti sugli istituti finanziari che operano quali fornitori di sistemi di intelligenza artificiale
Cominciamo l’analisi dall’art. 17, che si pone come uno dei pilastri della complessiva strategia di gestione del rischio, imponendo l’istituzione di un sistema di gestione di qualità con il precipuo fine di strutturare un processo idoneo al controllo di una serie di requisiti del sistema di IA ad alto rischio, alla verifica della progettazione del sistema stesso e al mantenimento di adeguati livelli qualitativi[29]. Orbene, in tale contesto il legislatore UE si prefigge l’obiettivo di evitare duplicazioni di adempimenti, che addosserebbero agli istituti finanziari costi aggiuntivi in termini di compliance non controbilanciati da apprezzabili vantaggi. Al riguardo, il regime derogatorio delineato per gli istituti finanziari è differenziato rispetto a quello apprestato per la generalità di quanti operano in comparti dove vige una specifica regolamentazione. Per gli appartenenti a questa categoria residuale, il coordinamento si incentra sul criterio dell’integrazione, nel senso che costoro «possono includere» gli aspetti compresi nel sistema di gestione di qualità configurato dell’art. 17, par. 1, nell’ambito dei sistemi già implementati per far fronte alla disciplina settoriale. Diversamente, agli istituti finanziari viene riservata, come è stato efficacemente evidenziato in sede di commento alla disposizione in esame[30], «una disciplina di maggior favore in termini di armonizzazione»; questo favor si sostanzia nella previsione secondo cui tendenzialmente «le regole sui dispositivi o i processi di governance interna dettata dall’UE in materia di servizi finanziari soddisf[a]no appieno l’obbligo di istituire un sistema di gestione di qualità», come delineato dalla disposizione in esame. Residuano tuttavia spazi per i quali non è ritenuta sufficiente la copertura ad opera dalle regole sui servizi finanziari, dove pertanto si riespandono alcuni obblighi che trovano fonte nell’art. 17, par. 1; segnatamente, si tratta di quelli inerenti: al sistema di gestione dei rischi di cui all’art. 9 (lett. g); alla predisposizione, attuazione e manutenzione di un sistema di monitoraggio successivo all’immissione sul mercato a norma dell’art. 72 (lett. h); alle procedure relative alla segnalazione di un incidente grave a norma dell’art. 73 (lett. i).
Passando agli artt. 18 e 19, in entrambi si nota, nei confronti degli istituti finanziari, un atteggiamento simile a quello già visto. Gli istituti finanziari, invero, in tali disposizioni rimangono il solo gruppo a essere il target di una disciplina ad hoc. Per un verso, siffatti istituti, quando risultano sottoposti «a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari, conservano la documentazione tecnica nell’ambito della documentazione conservata a norma del pertinente diritto dell’Unione in materia di servizi finanziari» (art. 18, par. 3) Così statuendo il legislatore UE intende verosimilmente evitare antinomie o comunque fraintendimenti in un campo a elevato gradiente di regolazione. Può altresì convenirsi con chi ha notato che «l’integrazione degli obblighi di documentazione contribuisce a ridurre gli oneri amministrativi e di conformità per tali Istituti[31]», sulle cui spalle del resto grava, al di fuori del Regolamento sull’IA, un già oneroso fardello di adempienti la cui ottemperanza può risultare funzionale al conseguimento degli obiettivi che dal medesimo Regolamento sono presi di mira.
Per altro verso, si prevede che la conservazione dei log generati automaticamente dai sistemi di IA ad alto rischio di cui sono fornitori gli istituti finanziari avvenga «nell’ambito della documentazione conservata a norma del pertinente diritto dell’Unione in materia di servizi finanziari» (art. 19, par. 2). Dunque, si concretizza una deviazione dalla disciplina di base per cui «i log sono conservati per un periodo adeguato alla finalità prevista del sistema di IA ad alto rischio, della durata di almeno sei mesi, salvo diversamente disposto dal diritto dell’Unione o nazionale applicabile». E per di più si va a configurare per gli istituti finanziari una sorta di unico grande “archivio” deputato a custodire sia la documentazione elencata dall’art. 18, par. 1, sia i log generati automaticamente. Anche per la conservazione dei log valgono considerazioni analoghe a quelle formulate poc’anzi in ordine alla predetta documentazione[32]. In definitiva, gli enunciati di cui agli artt. 17, par. 4, 18, par. 3, e 19, par. 2, concorrono ad amalgamare taluni processi di compliance previsti per i sistemi di IA ad alto rischio con analoghi processi già richiesti da norme cogenti nell’ambito finanziario, ritenuti evidentemente capaci di contrastare le sfide poste dall’IA[33].
2.3 Gli istituti finanziari che operano come deployer e il monitoraggio post-marketing
L’ulteriore fronte da indagare è quello su cui sono attestati gli istituti finanziari che operano in vesta di deployer. Qui, come si accennava supra, il primo riferimento attiene al monitoraggio sul funzionamento del sistema di IA ad alto rischio. In generale, tra gli obblighi gravanti sul deployer, la cui lista (peraltro non completa) è contenuta nell’art. 26 del Regolamento sull’IA, figura quello di monitorare il funzionamento di un sistema con le anzidette caratteristiche in ossequio alle istruzioni fornitegli dal provider (art. 26, par. 5, comma 1). Ciò lascia intendere una relazione tra le due figure che è costruita come tendenzialmente gerarchica, in cui il deployer si connota tendenzialmente come esecutore, anche se poi in pratica vi sono diverse situazioni in cui il ruolo di quest’ultimo è ben più incisivo[34]. All’attività di monitoraggio in questione fanno da pendant una serie di obblighi informativi. Obblighi informativi che, a loro volta, appaiono correlati agli obblighi di monitoraggio post-marketing gravanti sui fornitori[35].
Fatto sta che ancora una volta la provincia della finanza gode, per così dire, di un consistente margine di autonomia. Ricalcando una formula già usata negli artt. 17, 18 e 19, il legislatore stabilisce, infatti, quanto segue: «Per i deployer che sono istituti finanziari soggetti a requisiti in materia di governance, di dispositivi o di processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari, l’obbligo di monitoraggio di cui al primo comma si considera soddisfatto se sono soddisfatte le regole sui dispositivi, sui processi e sui meccanismi di governance interna a norma del pertinente diritto in materia di servizi finanziari» (art. 26, par. 5, comma 2). In linea con le deroghe accordate agli istituti finanziari operanti come fornitori, l’obiettivo è quello di non dare adito a duplicazioni di obblighi, in particolare quelli informativi[36].
Ancora, sussistendo anche per i deployer dei sistemi di IA ad alto rischio, come per i relativi fornitori, l’obbligo di conservare per un certo tempo i log generati autonomamente dal sistema (con una disciplina modellata su quella dettata per il fornitore), scatta parimenti una deroga per quei deployer che sono istituti finanziari sottoposti a requisiti in materia di governance, di dispositivi o di processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari; orbene questi ultimi (non diversamente da quanto viene previsto per gli istituti finanziari che vestono i panni di fornitori) sono tenuti a conservare i «log come parte della documentazione conservata a norma del pertinente diritto dell’Unione in materia di servizi finanziari» (art. 26, par. 6, comma 2).
Per completare questa panoramica, occorre spostarsi dal Capo III al Capo IX del Regolamento (Capo IX che include svariati aspetti, come si evince dalla sua intitolazione «Monitoraggio successivo all’immissione sul mercato, condivisione delle informazioni e vigilanza del mercato»), dove la peculiare posizione degli istituti finanziari viene valorizzata rispetto al monitoraggio successivo all’immissione sul mercato, previsto dall’art. 72 (unica disposizione di cui si compone la sezione 1 del citato Capo IX) per i sistemi di IA ad alto rischio. La tematica è strettamente connessa al pacchetto di obblighi di cui ci si è fin qui occupati; d’altronde si era poc’anzi notato come all’espletamento di siffatto monitoraggio, di cui deve farsi carico il fornitore, sono funzionali determinati obblighi addossati al deployer.
Per l’ennesima volta, emerge l’esigenza di coordinamento con monitoraggi di diversa natura, disciplinati da altri corpi di regole dell’Unione Europea. Esigenza che investe due blocchi di sistemi: 1) quelli disciplinati dalla normativa di armonizzazione dell’Unione elencata nell’allegato I, sezione A, dove figurano una serie di atti legislativi che disciplinano prodotti che ammontano essi stessi a sistemi di IA o rispetto ai quali il sistema di IA è destinato a essere utilizzato come componente di sicurezza (art. 72, par. 4, comma 1); 2) quelli immessi sul mercato o messi in servizio da istituti finanziari (art. 72, par. 4, comma 2)[37].
Orbene, nella prima eventualità, ove la menzionata normativa già contempli un sistema e un piano di monitoraggio successivo all’immissione sul mercato (piano rispetto al quale, stando al testo dell’art. 72, 3, come modificato dal Regolamento (UE) 2026/1744 [Omnibus digitale sull’IA][38], la Commissione è chiamata a adottare orientamenti, compreso un modello, entro il 2 settembre 2027), ai fornitori è concessa l’opzione di integrare gli elementi di cui ai precedenti paragrafi dello stesso art. 72 nei sistemi e nei piani preesistenti in virtù di detta normativa[39]; siffatta integrazione è tuttavia preclusa se per suo tramite si approda a un decadimento del livello di protezione delineato dal Regolamento sull’IA[40]. Identico regime si applica nella seconda eventualità, quella per l’appunto riguardante gli istituti finanziari. Dunque, in questo caso l’esplicita menzione degli istituti finanziari non serve a differenziarli nell’ambito di un regime di per sé derogatorio rispetto a quello standard, bensì ha l’effetto di accomunarli ai fornitori dei sistemi di cui all’allegato I), sezione A, del Regolamento.
3. Vigilanza e controllo sui sistemi di intelligenza artificiale di pertinenza degli istituti finanziari
Come si anticipava nelle battute conclusive del primo paragrafo, converrà a questo punto dare uno sguardo ai passaggi del Regolamento sull’IA che toccano il tema della vigilanza sui mercati dove sono attivi gli istituti finanziari in veste di fornitore o deployer.
In chiave sistematica, se si parte dall’articolo del Regolamento che si è appena illustrato, non occorre fare molta strada. Ci troviamo infatti sempre nel Capo IX. Poco più in là si arriva alla sezione 3 (denominata «Applicazione»), che si apre con l’art. 74, dal titolo «Vigilanza del mercato e controllo dei sistemi di IA nel mercato dell’Unione»[41]. Premesso che l’art. 74 non ha subito alterazioni per via dell’Omnibus digitale sull’IA – il quale, di contro, rimanendo sul terreno della supervisione ed enforcement, ha inciso in maniera significativa sulla competenze dell’Ufficio per l’IA[42] – occorrerà focalizzare l’attenzione sul suo par. 6 che riguarda in maniera specifica «i sistemi di IA ad alto rischio immessi sul mercato, messi in servizio o usati da istituti finanziari».
Prima di analizzare il menzionato articolo, è opportuno fare qualche cenno di ordine generale in ordine alle authorities cui il Regolamento affida varie prerogative volte a garantire l’enforcement dei propri precetti. Il plurale è d’uopo, non già per il semplice fatto che si moltiplicano per quanti sono gli Stati Membri, ma soprattutto perché vengono contemplate due tipologie di autorità nazionali competenti. Ciascuno Stato membro è infatti tenuto (come minimo) a dotarsi di un’autorità di notifica e di un’autorità di vigilanza del mercato[43]. A ciò deve aggiungersi che, a livello UE, il Regolamento designa direttamente quale autorità di vigilanza il Garante europeo della protezione dei dati. L’autorità di notifica, come si apprende dalla definizione per essa dettata, si identifica con «l’autorità nazionale responsabile dell’istituzione e dell’esecuzione delle procedure necessarie per la valutazione, la designazione e la notifica degli organismi di valutazione della conformità e per il loro monitoraggio»[44]. Dal canto proprio, l’autorità nazionale di vigilanza del mercato è individuata per relationem, evocando le attività e le misure previste dal Regolamento (UE) 2019/1020, sulla vigilanza del mercato e sulla conformità dei prodotti[45], il cui ambito applicativo viene peraltro contestualmente ampliato fino a coprire i sistemi di IA[46]. Nel preambolo si chiarisce altresì che, onde «garantire un’esecuzione adeguata ed efficace dei requisiti e degli obblighi stabiliti dal presente regolamento, che costituisce la normativa di armonizzazione dell’Unione, è opportuno che si applichi nella sua interezza il sistema di vigilanza del mercato e di conformità dei prodotti», istituito dal citato Regolamento (UE) 2019/1020[47].
Dunque, ciascuno Stato Membro designa la propria o le proprie autorità di vigilanza sul mercato[48]. Ci sono però delle designazioni in un certo senso ‘guidate’ dall’alto[49], rispetto alle quali il legislatore eurounitario indirizza le scelte dei decisori nazionali verso un certo esito, senza tuttavia imporre sempre e comunque un vincolo assoluto. Non diversamente da quanto si è visto per il monitoraggio post-marketing, le indicazioni ad hoc riguardano, in primo luogo, i sistemi di IA ad alto rischio collegati a prodotti disciplinati dalla normativa di armonizzazione dell’Unione elencata nell’allegato I, sezione A, del Regolamento (art. 74, par. 3); quindi, i sistemi di IA ad alto rischio immessi sul mercato, messi in servizio o usati da istituti finanziari disciplinati dal diritto dell’Unione in materia di servizi finanziari (art. 74, par. 6); e ancora i sistemi di IA ad alto rischio elencati nell’allegato III del Regolamento, ai punti 6, 7 e 8 (si allude a quelli riguardanti rispettivamente, le attività di contrasto; la migrazione, l’asilo e la gestione del controllo delle frontiere; l’amministrazione della giustizia e i processi democratici), nonché per alcuni di quelli contemplati al punto 1 (si tratta di quelli riguardanti la biometria, nella misura in cui essi sono utilizzati a fini di attività di contrasto, gestione delle frontiere, giustizia e democrazia).
Negli anzidetti casi viene investita di compiti aggiuntivi un’autorità preesistente. E così per i sistemi presi in considerazione dall’Allegato I, sezione A, si attribuisce il ruolo di autorità di vigilanza del mercato, ai fini del Regolamento sull’IA, all’autorità responsabile delle attività di vigilanza del mercato designata in virtù delle normative armonizzate. Rispetto ai sistemi di IA ad alto rischio immessi sul mercato, messi in servizio o usati da istituti finanziari disciplinati dal diritto dell’Unione in materia di servizi finanziari, a essere investita è in via primaria la pertinente autorità nazionale, cui compete la responsabilità in ordine alla vigilanza finanziaria di tali enti ai sensi del diritto dello Stato per cui è designata; l’investitura risulta, peraltro, subordinata al fatto che l’immissione sul mercato, la messa in servizio o l’uso del sistema di IA siano direttamente collegati alla fornitura di tali servizi finanziari.
Aprendo una breve parentesi sull’approccio seguito nel nostro paese, il legislatore italiano ha esplicitamente indicato la Banca d’Italia, la CONSOB e l’IVASS quali autorità di vigilanza del mercato ai sensi e secondo quanto previsto dall’art. 74, par. 6, del regolamento sull’intelligenza artificiale[50]. Da ultimo, il Consiglio dei ministri, nel contesto di uno degli schemi di decreto legislativo approvati in esame preliminare nella seduta del 10 giugno 2026[51] e in esame definitivo nella seduta del 4 agosto 2026[52], aventi l’obiettivo di adeguare la normativa nazionale al Regolamento sull’IA, ha delineato i poteri di tali autorità in attuazione della delega conferita al Governo sul punto specifico[53].
Infine, laddove entra in gioco il richiamo ad alcune parti dell’Allegato III, si stabilisce che gli Stati Membri facciano assurgere ad autorità di vigilanza del mercato, ai fini del Regolamento sull’IA, le autorità di controllo competenti per la protezione dei dati a norma del Regolamento generale sulla protezione dei dati o della direttiva nota come LED[54] o qualsiasi altra autorità designata a norma delle stesse condizioni di cui agli artt. da 41 a 44 della medesima direttiva.
Per le prime due forme di supervisione testé richiamate, si aprono spiragli per attuare una deroga rispetto all’indicazione di default (art. 74, par. 3 e 7). Può così optarsi per un’altra autorità rispetto a quella individuata in prima battuta, a patto di garantire comunque un efficace coordinamento, sì da scongiurare dissidi e/o sovrapposizioni.
Per quel che attiene in maniera più specifica al settore finanziario, indicazioni maggiormente circostanziate sono rinvenibili nel considerando 158, dove si ravvisa l’opportunità di designare, nei rispettivi ambiti, le autorità che si vedono attribuire il ruolo di vigilanza dalle norme UE che si occupano di: requisiti prudenziali per gli enti creditizi e le imprese di investimento[55]; contratti di credito ai consumatori[56]; accesso ed esercizio delle attività di assicurazione e di riassicurazione[57]; accesso all’attività degli enti creditizi e vigilanza prudenziale sugli enti creditizi e sulle imprese di investimento[58]; contratti di credito ai consumatori relativi a beni immobili residenziali[59]; distribuzione assicurativa[60]. È sempre fatta salva la possibilità di attribuire i compiti di supervisione a una diversa autorità.
Un’ulteriore puntualizzazione attiene esclusivamente alla vigilanza sugli enti creditizi. Nel testo del Regolamento sull’IA si chiarisce che le autorità di vigilanza su detti enti, che partecipano al Meccanismo di vigilanza unico[61], sono tenute a comunicare senza indugio alla Banca Centrale Europea (BCE) qualsiasi informazione individuata nel corso delle attività di vigilanza del mercato che possa essere di potenziale interesse per i compiti in materia di vigilanza prudenziale della stessa BCE (art. 74, par. 7, comma 2). Sotto questo profilo, è raccomandabile un raccordo tra l’Ufficio per l’IA, di cui all’art. 64 del Regolamento[62], e la BCE; raccordo che dovrebbe essere improntato alla ricerca di un delicato punto di bilanciamento tra l’incentivo all’innovazione e il mantenimento della stabilità[63].
Di là dalla distribuzione delle competenze, è ragionevole ipotizzare che i meccanismi di controllo e di vigilanza sui sistemi di IA, i quali si innervano nell’operatività degli istituti finanziari, caratterizzando diverse fasi e diversi aspetti del loro agire sul mercato, necessitino di taluni adattamenti rispetto ai canoni tradizionali[64]. Ne sembra consapevole, varcando l’Atlantico, anche la Federal Reserve che, a dire il vero, allorquando ha di recente messo mano a un’opera di revisione della “model risk management guidance”, ha dichiarato che tale supervisory tool rimane utilizzabile con rifermento a situazioni in cui si prescinde dell’impiego dell’intelligenza artificiale o al limite si fa ricorso a sue applicazioni di base. Rimangono ai margini l’intelligenza artificiale generativa e quella agentica, per le quali si ravvisa l’utilità di sviluppare nuovi modelli che non soffochino (e anzi, incoraggino) l’innovazione[65]. La stessa Federal Reserve sta lavorando all’aggiornamento e alla semplificazione della “third-party risk-management guidance”, sempre nel segno di un upgrade dello strumentario tecnologico[66].
Altra tematica di rilievo, alla quale in questa sede si può solo accennare, è quella relativa all’impiego dei dispositivi di intelligenza artificiale da parte delle autorità di vigilanza[67]. Sebbene l’integrazione dell’intelligenza artificiale negli strumenti di supervisione abbia sin qui raggiunto un livello di sviluppo relativamente basso, il suo utilizzo appare alquanto promettente. Basti pensare alle potenzialità insite nell’innesto dell’IA nel quadro dei processi orientati alla valutazione del rischio, ai fini della formulazione di previsioni attendibili su situazioni di crisi e come strumento di indagine utile alla scopetta di manipolazioni del mercato. Fungono da freno all’imboccare con decisione siffatte traiettorie evolutive nelle aree indicate, che dovrebbero auspicabilmente generare un incremento qualitativo nella supervisione, plurimi fattori, tra i quali i costi elevati di implementazione, la limitata capacità tecnologica a disposizione delle autorità e il più generale problema dell’opacità dei sistemi di IA. Il rischio anche in questo campo è una sorta di delega alle macchine della supervisione sugli istituti finanziari e, in particolare, sulle banche. Ma, proprio perché l’attività in questione richiede una valutazione critica e chiama in causa valori e obiettivi degni di essere perseguiti, ma non misurabili con un’impostazione puramente meccanicistica, quale in primis la stabilità finanziaria[68], sembra esservi ancora un congruo spazio per la valorizzazione del fattore umano.
[1] Cfr. S. Bahoo, M. Cucculelli, Xh. Goga, J. Mondolo, Artificial intelligence in Finance: a comprehensive review through bibliometric and content analysis, SN Bus Econ (2024) 4:2, 23, disponible all’URL https://doi.org/10.1007/s43546-023-00618-x: «Despite its recent advent, Artificial Intelligence has revolutionised the entire financial system, thanks to advanced computer science and Big Data Analytics and the increasing outflow of data generated by consumers, investors, business, and governments’ activities» (p. 39); Y.A. Ünvan, H. Alsokhni, The evolution of artificial intelligence research in finance: A bibliometric analysis of trends and future directions, Finance Research Open (2026) 2:1, 100083: «Over the past decade, artificial intelligence (AI) and machine learning (ML) have fundamentally reshaped the architecture of financial systems».
[2] A titolo esemplificativo, per la situazione italiana, si veda quanto riportato in OECD, L’intelligenza artificiale nei mercati finanziari italiani, OECD Publishing, 2026, disponibile all’URL https://doi.org/10.1787/7ecf1246-it (si tratta della traduzione in italiano di OECD, Artificial Intelligence in Italian Financial Markets, OECD Publishing, 2026, https://doi.org/10.1787/6f42c977-en). Ivi si legge, in particolare, che: «Gli operatori dei mercati finanziari, come i gestori di portafogli, i gestori patrimoniali e i consulenti d’investimento, segnalano tassi di adozione prossimi al 30%. Le società di intermediazione mobiliare mostrano una percentuale di utilizzo lievemente inferiore, pari al 22%. Nessun broker-dealer o consulente di investimento ha riferito di ricorrere all’IA, sebbene la dimensione del campione di queste categorie sia più ridotta. Tra i principali settori, quello assicurativo mostra il più alto tasso di adozione dell’IA, pari al 70% [..]. Tra le banche, tale percentuale è pari al 59%, mentre i fondi pensione si collocano al 10%».
[3] M. Li, Applications of Artificial Intelligence in the Financial Sector: Current Challenges and Future Directions, in Highlights in Business, Economics and Management, 2025, 65, 410-416: «Artificial intelligence is irreversibly transforming the financial sector, with its primary benefits in operational efficiency, risk management, and service innovation being widely recognized. However, the path toward intelligent finance is fraught with significant hurdles» (p. 415).
[4] Cfr. S. Kant Gupta, J. Rosak-Szyrocka, R. Rena, C.-S. Shieh, G.E. Bayram, The Impact of Artificial Intelligence on Finance: Transforming Financial Technologies, Springer, 2025; J.T. Aparicio, C.J. Costa, Artificial Intelligence in Finance: Opportunities, Challenges, and Future Directions, in A. Rocha, F. García Peñalvo, C.J. Costa, R. Gonçalves (eds.), Proceedings of 20th Iberian Conference on Information Systems and Technologies (CISTI 2025), Vol. 4, Springer, 2026, 108-120; N. Alrawashdeh, M.A. Al-Afeef, I.A. Abu-AlSondos, R. Noun, K.I. Al-Daoud, M. Alghizzawi, Navigating the New Frontier: The Impact, Challenges, and Future of Artificial Intelligence in Finance, in E. AlDhaen, D. Gallear, A. Hamdan, W. Chen, A. Al Hawaj (eds.), Sustainable Responsible Practices in Technology and Business for Society 5.0, Springer, 2026, 33-43.
[5] Cfr. F. Ghosn, G. Awad, K. Darwich (eds.), AI’s Transformative Impact on Finance, Auditing, and Investment, IGI Global Scientific Publishing, 2025. in tale volume la disamina si spinge anche al di là delle dinamiche proprie dei sistemi finanziari a impronta europea e nordamericana, come si evince, in particolare, dal contributo di E.R. Kismawadi, Artificial Intelligence in Islamic Finance: Revolutionizing Risk Management, Auditing, and Shariah Compliance (pp. 101-122). Si tratta di una prospettiva d’indagine che ha destato un notevole interesse (v., ad es., M.M. Billah et al. (eds.), Islamic Finance and Artificial Intelligence: Ethics, Compliance, and Digital Innovation, Routledge, 2026; A.F. Aysan, H. Ali, H.M. Qadri, Artificial Intelligence and the Future of Islamic Finance, Taylor & Francis, 2026; E.R. Kismawadi, M. Irfan, A.K. Yadav, Advancing Islamic Finance With Blockchain and Generative Artificial Intelligence, in M. Irfan, R. Dias, R. Rastogi, G. Figueira Zebende (eds.), Generative AI Insights for Financial Decision Making, IGI Global Scientific Publishing, 2026, 241-266; I. Arsyad, D.B. Kharisma, J. Wiwoho, Artificial intelligence and Islamic finance industry: problems and oversight, in International Journal of Law and Management, 2026, vol. 68, no. 4, pp. 653–675, disponible all’URL https://doi.org/10.1108/IJLMA-07-2024-0236).
[6] In quest’ottica, si veda, ad es. B. Fragasso, Intelligenza artificiale e responsabilità penale. Principi e categorie alla prova di una tecnologia “imprevedibile”, Giappichelli, 2025, 1: «l’intelligenza artificiale potrebbe avere un impatto trasformativo sulla nostra società paragonabile a quello generato dalle rivoluzioni industriali, segnando una svolta profonda nei modelli economici, nei rapporti sociali e nelle strutture istituzionali» (l’Autrice richiama in proposito S. Abis, L. Veldkamp, The Changing Economics of Knowledge Production Get access Arrow, in The Review of Financial Studies, 2024, 37, 1, 91 ss.; H. Devlin, AI ‘could be as transformative as Industrial Revolution’, in The Guardian (online), 3 maggio 2023, disponibile all’URL https://www.theguardian.com/technology/2023/may/03/ai-could-be-as-transformative-as-industrial-revolution-patrick-vallance).
[7] Come si evidenzia in un documento divulgato all’esito di un progetto di ricerca condotto dal Cambridge Centre for Alternative Finance (CCAF), avente sede presso la Cambridge Judge Business School della University of Cambridge – sviluppato assieme a numerosi esponenti del mondo finanziario [Bank for International Settlements (BIS), International Monetary Fund (IMF), World Economic Forum (WEF), Inter-American Development Bank (IDB), CGAP, Arab Monetary Fund (AMF), in collaborazione con un’organizzazione internazionale no-profit (Financial Innovation for Impact (Fii) e con il sostegno del governo britannico (UK Foreign, Commonwealth and Development Office (FCDO)] – «the highest levels of AI adoption are concentrated in operational, back-office activities (software development, data visualisation, process automation and data management), followed by risk-related applications (fraud detection) and structured front office tasks (customer support)» (The 2026 Global AI in Financial Services Report Adoption, impact and risks, 2026, 33).
[8] Secondo il Report citato nella nota che precede, «firms that deployed less common, highly specialised applications – within new product creation, trading and portfolio intelligence, treasury management and FP&A – also report higher overall increases in profitability from their organisation’s overall use of AI. While this does not demonstrate a causal relationship, it suggests that firms that are able to embed AI applications into more complex, domain-specific workflows also extract higher financial premium than those firms using AI for more generic automation tasks» (The 2026 Global AI in Financial Services Report Adoption, impact and risks, 2026, 34).
[9] Osservano B. Saktiawan, B. Setiyono, T. Risfandy, E. Rachmadi, AI for FI governance: Panacea or poison?, in Research in Globalization, 2026, 12, 100343: «adopting AI technology will improve FI governance performance (AI-driven governance). AI assists in more effective communication between stakeholders, promotes transparency, facilitates risk identification, and enhances data security, which is highly beneficial. Furthermore, we also find that this influence only occurred in pillar management.
Meanwhile, the other two governance pillars, CSR and shareholders, do not, because adopting AI into governance tends to play a more direct role in management (effective communication, transparency, risk identification)» (p. 9).
[10] I. Aldridge et al., Agentic Artificial Intelligence in Finance: A Comprehensive Survey, arXiv:2604.21672 [econ.EM] (2026), disponibile all’URL https://doi.org/10.48550/arXiv.2604.21672: «Financial markets are experiencing a profound transformation as artificial intelligence evolves from narrow, task-specific automation toward agentic systems capable of autonomous reasoning, strategic planning, and adaptive coordination».
[11] Una rassegna si rinviene nello scritto di S. Bahoo, M. Cucculelli, Xh. Goga, J. Mondolo, Artificial intelligence in Finance, cit., 25-39.
[12] Più di tre lustri orsono lo sottolineava, nel quadro della sua analisi sui servizi finanziari nel diritto unionale, J. Pisuliński, Financial services in European Union private law, in C. Twigg-Flesner (ed.), The Cambridge Companion to European Union Private Law, Cambridge University Press, 2010, 313-328. Ivi veniva, peraltro, messo in luce che nell’ordianemnto dell’Unione Europea difetta una nozione uniforme di servizio finanziario. Dal canto proprio, M. Wiberg, The EU Services Directive: Law Or Simply Policy?, Asser press, 2014, 205, discorrendo dell’esclusione dei servizi finanziari dall’ambito applicativo della Direttiva 2006/123/CE, relativa ai servizi nel mercato interno, osserva quanto segue «There is, however no definition established of what constitutes a “financial service”».
[13] Secondo l’art. 2, lett. b), della Direttiva 2002/65/CE, per «servizio finanziario» si intende «qualsiasi servizio di natura bancaria, creditizia, assicurativa, servizi pensionistici individuali, di investimento o di pagamento».
[14] Art. 2, n. 12, della Direttiva 2011/83/UE.
[15] Allegato 4 alla Decisione 1999/593/CE, CECA, Euratom.
[16] Il primo gruppo comprende:
1. Assicurazione diretta (compresa la coassicurazione): i) sulla vita; ii) generale; 2. riassicurazione e retrocessione; 3. intermediazione assicurativa, come i servizi di brokeraggio e di agenzia; 4. servizi connessi alle assicurazioni quali le consulenze, i servizi attuariali, la valutazione dei rischi e la liquidazione dei risarcimenti.
[17] Il secondo gruppo comprende:
1. Accettazione dei depositi e degli altri fondi rimborsabili da parte del pubblico; 2. Prestiti di tutti i tipi, compreso il credito al consumo, il credito ipotecario, il factoring e il finanziamento delle operazioni commerciali; 3. Leasing finanziario; 4. Tutti i servizi relativi ai pagamenti e ai trasferimenti di denaro, comprese le carte di credito, di addebito e di prelievo, i travellers cheques e le tratte bancarie; 5. Fideiussioni e impegni; 6. Compravendita, per proprio conto o per conto di clienti, sul mercato valutario, sul mercato terziario o altrove, di: a) strumenti del mercato monetario (assegni, cambiali, certificati di deposito, ecc.); b) valuta estera; c) operazioni derivate, tra cui contratti a termine e a premio; d) strumenti relativi ai tassi di cambio e di interesse, compresi gli swap, gli accordi su quotazioni per operazioni a termine, ecc.; e) titoli trasferibili; f) altri strumenti e attività finanziarie negoziabili, compreso il metallo prezioso; 7. Partecipazione all’emissione di tutti i tipi di titoli, compresa la sottoscrizione e il collocamento come agente (in forma pubblica o privata) e la prestazione dei servizi connessi; 8. Intermediazione di credito; 9. Gestione delle attività finanziarie, come liquidità e portafoglio, tutte le forme di gestione degli investimenti collettivi, gestione del fondo pensioni, depositi e fondi fiduciari; 10. Liquidazione e compensazione delle attività finanziarie tra cui i titoli, i prodotti derivati e gli altri strumenti negoziabili; 11. Consulenza e altri servizi finanziari connessi per tutte le attività elencate ai paragrafi 1-10, comprese le informazioni commerciali e le analisi dei crediti, la ricerca e la consulenza sugli investimenti e sulla gestione di portafoglio, le consulenze in materia di acquisiti nonché di ristrutturazione e strategia aziendale; 12. Comunicazione e trasferimento di tutte le informazioni finanziarie elaborazione dei dati finanziari e fornitura del software corrispondente da parte degli operatori che prestano altri servizi finanziari.
[18] Art. 7.37 dell’Accordo di libero scambio annesso alla Decisione 2011/265/UE.
[19] La lista comprende i seguenti punti:
a) servizi assicurativi e connessi:
i) assicurazione diretta (compresa la coassicurazione): A) ramo vita; B) ramo danni; ii) riassicurazione e retrocessione; iii) intermediazione assicurativa (ad esempio attività di broker e agenzie); iv) servizi accessori del settore assicurativo, quali i servizi di consulenza, i servizi attuariali, di valutazione dei rischi e di liquidazione sinistri;
b) servizi bancari e altri servizi finanziari (esclusa l’assicurazione):
i) raccolta di depositi e altri fondi rimborsabili tra il pubblico; ii) prestiti di qualsiasi tipo, ivi compresi crediti al consumo, crediti ipotecari, factoring e finanziamenti di operazioni commerciali; iii) leasing finanziario; iv) tutti i servizi di pagamento e trasferimento di denaro, compresi carte di credito e di addebito, traveller’s cheque e bonifici bancari; v) garanzie e impegni; vi) operazioni per proprio conto o per conto della clientela; in borsa, sul mercato ristretto o altrove, relative a: A) strumenti del mercato monetario (compresi assegni, cambiali, certificati di deposito); B) valuta estera; C) prodotti derivati, compresi, ma non esclusivamente, i contratti a termine e a premio; D) strumenti relativi a tassi di cambio e d’interesse, inclusi swaps e contratti a termine (forward rate agreements); E) titoli trasferibili; F) altri strumenti negoziabili e attività finanziarie, ivi compresi i lingotti; vii) partecipazione all’emissione di qualsiasi genere di titoli, compresi la sottoscrizione e il collocamento in qualità di agente (in forma pubblica o privata) nonché prestazione di servizi collegati; viii) intermediazione sul mercato monetario; ix) gestione patrimoniale, ad esempio gestione di cassa o di portafoglio, tutte le forme di gestione di investimenti collettivi, fondi pensione, servizi di custodia, di deposito e amministrazione fiduciaria; x) servizi di liquidazione e compensazione relativi a attività finanziarie, compresi titoli, prodotti derivati e altri strumenti negoziabili; xi) fornitura e trasmissione di informazioni finanziarie, nonché elaborazione di dati finanziari e relativo software; xii) servizi finanziari di consulenza, intermediazione e altro, relativamente a tutte le attività elencate ai precedenti punti da i) a xi), ivi comprese referenze bancarie e informazioni commerciali, ricerche e consulenze in merito a investimenti e portafogli, consulenze su acquisizioni, ristrutturazioni e strategie aziendali.
[20] Nel corso dell’iter di approvazione della proposta di Regolamento sull’IA, un’indagine ad ampio raggio sull’impatto della (all’epoca) disciplina in fieri riguardante le financial entities è stata compiuta da A. Sciarrone Alibrandi, M. Rabitti, G. Schneider, The European AI Act’s Impact on Financial Markets: From Governance to Co-Regulation, in EBI Working Paper Series, 2023, no. 138.
[21] G. Vaciago, Accuracy, Robustness and Cybersecurity, in G. Malgieri, G. González Fuster, A. Mantelero, G. Zanfir-Fortuna (eds.), The EU Artificial Intelligence Act. A Thematic Commentary, cit., 330: «The AI Act introduces significant complexities due to its interplay with existing and forthcoming EU Cybersecurity legislation».
[22] Regolamento (UE) 2022/2554, relativo alla resilienza operativa digitale per il settore finanziario.
[23] Cfr. M. Wilczopolski, From DORA to the AI Act: The New ‘Digital Suitability’ Standard for Financial Institutions, 2026, disponibile all’URL http://dx.doi.org/10.2139/ssrn.6497318. Lo standard in questione richiede agli istituti finanziari «to demonstrate fitness of their digital systems for regulated use across four dimensions: algorithmic accountability, systemic resilience, third party governance, and data integrity». Inoltre, secondo l’Autore, «each regulation contributes a dimension the others lack. DORA provides resilience and third-party governance but does not address whether an AI system’s outputs are fair or explainable. The AI Act provides algorithmic accountability and data governance but says nothing about what happens when a compliant system fails or degrades. GDPR provides individual rights but neither systemic governance nor AI-specific quality standards. The composite standard fills gaps that no single instrument covers — and the obligation it creates exceeds the sum of its parts».
[24] Per un commento alle regole che individuano i sistemi ad alto rischio concernenti l’accesso a servizi privati essenziali e a prestazioni e servizi pubblici essenziali, nonché la loro fruizione, v. N. Vardi, sub. punto 5 dell’Allegato III, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, Wolters Kluwer, 2025, 962 ss.
[25] Nella prospettiva di A. Sciarrone Alibrandi, M. Rabitti, G. Schneider, The European AI Act’s Impact on Financial Markets, cit., un ausilio non di poco momento potrebbe derivare dal Regolamento DORA, nella misura in cui «the introduction of specific directors’ duties – and responsibilities – regarding the management of technology-related risks offers a new venue – that of business strategies – for filling the gaps left open by the regulatory framework in accordance with a functional and proactive stance towards ongoing digitalisation processes in the financial sector» (par. 7).
[26] Cass., 31 agosto 2023, n. 25509, Rep. Foro it., 2023, voce «Redditi (imposte sui)», n. 465.
[27] Cfr. V. Tiani, in sub art. 72, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 528 ss.
[28] Più in generale, si è notato che l’esistenza di altre normative dell’Unione Europea, ivi comprese quelle che presentano peculiarità settoriali, non è stata ignorata dagli artefici dell’AI Act, «with a view to ensure a fully consistent approach» (così G. Mazzini, F. Bagni, Considerations on the regulation of AI systems in the financial sector by the AI Act, in Frontiers in Artificial Intelligence, 2023, 10;6:1277544, disponibile all’URL https://www.frontiersin.org/journals/artificial-intelligence/articles/10.3389/frai.2023.1277544/full#cite).
[29] Osservano, al riguardo, H. Mustroph, S. Rinderle-Ma, Design of a Quality Management System Based on the EU AI Act, in J. Savelka, J. Harasta, T. Novotna, J. Misek (eds.), Legal Knowledge and Information Systems, IOS Press, 2024, 315, che il sistema di gestione della qualità di cui all’art. 17 del Regolamento «aims to structure a process to control all listed high-risk AI system requirements, verify the AI system design, and assure its quality».
[30] A. Mantelero, sub art. 17, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 288.
[31] M.S Esposito, sub art. 18, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale, Commentario, cit., 292.
[32] M.S Esposito, sub art. 18, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale, Commentario, cit., 297.
[33] Cfr. M. Finck, The EU Artificial Intelligence Act. A Commentary, Oxford University Press, 2026, 334.
[34] A. Mantelero, sub art. 26, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale, Commentario, cit., 328.
[35] P. Lee, Deployers, Key obligations, in G. Malgieri, G. González Fuster, A. Mantelero, G. Zanfir-Fortuna (eds.), The EU Artificial Intelligence Act. A Thematic Commentary, Bloomsbury Publishing, 2026, 230.
[36] A. Mantelero, sub art. 26, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale, Commentario, cit., 329.
[37] Circa il coordinamento con altri monitoraggi, v. C. Bona, sub art. 72, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 648 s.
[38] Regolamento (UE) 2026/1744, dell’8 luglio 2026, che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell’attuazione di regole armonizzate sull’intelligenza artificiale (Omnibus digitale sull’IA).
[39] Osserva, sul punto, C. Bona, sub art. 72, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 649, che si «profila una scelta tra più alternative»: da un lato, è consentito «continuare a usare i piani di monitoraggio previsti pe lo specifico prodotto da altre normative e – a parte – redigere il piano di monitoraggio per il sistema di intelligenza artificiale»; dall’altro, si può arricchire il piano già esistente, «aggiungendo una parte dedicata al monitoraggio del sistema di intelligenza artificiale che sia conforme al relativo modello predisposto dalla Commissione».
[40] Secondo C. Bona, sub art. 72, op. loc. cit., non è immaginabile una situazione in cui non si consegua un livello di protezione inferiore, posto che «l’integrazione del piano imposto dalle altre normative deve comunque seguire il modello delineato dalla Commissione».
[41] Per un primo commento a tale disposizione, v. A.M.S. Caldoro, sub art. 74, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 658 ss.
[42] Si vedano il testo modificato dell’art. 75 del Regolamento sull’IA, nonché i nuovi art. 75 bis, 75 ter, 75 quater e 75 quinquies.
[43] Art. 70, par. 1, del Regolamento (UE) 2024/1689.
[44] Art. 3, n. 19, del Regolamento (UE) 2024/1689.
[45] Art. 3, n. 26 del Regolamento (UE) 2024/1689.
[46] Art. 74, par. 1, del Regolamento (UE) 2024/1689.
[47] Considerando 150 del Regolamento (UE) 2024/1689.
[48] Al riguardo, v. S. Villani, Il sistema di vigilanza sull’applicazione dell’AI Act: ognun per sé?, in Quaderni AISDUE, 2024, fasc. spec. 2 (disponibile all’URL https://www.aisdue.eu/wp-content/uploads/2024/06/Post-Susanna-Villani.pdf), che denuncia i rischi di un enforcement frammentario e inefficace. Evidenzia, in particolare l’A., come «un eccessivo affidamento sull’enforcement delle autorità nazionali espone al rischio di difformità applicative, a causa delle notevoli divergenze di risorse e prassi di intervento nei diversi Stati membri. Com’è usuale in campo tecnologico, poi, si pone il problema di possibili difformità nei criteri di valutazione degli standard tecnici, che sarà tanto più pregnante in un settore, quello dell’IA, caratterizzato da un elevato numero di attori e di standard diversi. Il successo dell’AI Act si misurerà, dunque, anche sulla capacità di vigilanza da parte delle autorità ma anche in quella delle istituzioni dell’Unione – in primis Commissione europea e Corte di giustizia – di lavorare per individuare dei profili di cooperazione stringente tra le singole autorità di controllo» (p. 18).
[49] Osserva A.M.S. Caldoro, sub art. 74, A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 659, che l’intervento diretto del legislatore UE è motivato dall’esigenza di «garantire una maggiore tutela per i sistemi di IA ad alto rischio».
[50] Art. 20 L. 23 settembre 2025, n. 132.
[51] Si veda il comunicato stampa del Consiglio dei Ministri n. 177, disponibile all’URL https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-177/32050.
[52] Si veda il comunicato stampa del Consiglio dei Ministri n. 185, disponibile all’URL https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-185/32468.
[53] Si vada quanto stabilito dall’art. 24, comma 2, L. 23 settembre 2025, n. 132, e in particolare dalla lett. a (volta ad «attribuire alle autorità di cui all’articolo 20, nei limiti della designazione operata ai sensi del medesimo articolo 20, tutti i poteri di vigilanza, ispettivi e sanzionatori previsti dal regolamento (UE) 2024/1689 per la verifica del rispetto delle norme del regolamento stesso e dalla normativa dell’Unione europea attuativa del medesimo regolamento»); dalla lett. c (che consente di «ricorrere alla disciplina secondaria adottata dalle autorità individuate ai sensi dell’articolo 20, ove opportuno e nel rispetto delle competenze alle stesse spettanti, nell’ambito e per le finalità specificamente previsti dal regolamento (UE) 2024/1689 e dalla normativa dell’Unione europea attuativa del medesimo regolamento»); dalla lett. d (finalizzata ad «attribuire alle autorità di cui all’articolo 20 il potere di imporre le sanzioni e le altre misure amministrative previste dall’articolo 99 del regolamento (UE) 2024/1689 per la violazione delle norme del regolamento stesso e degli atti di attuazione, nel rispetto dei limiti edittali e delle procedure previsti dal medesimo articolo 99 e dalle disposizioni nazionali che disciplinano l’irrogazione delle sanzioni e l’applicazione delle altre misure amministrative da parte delle autorità anzidette»).
[54] Direttiva (UE) 2016/680 (avente ad oggetto la protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati).
[55] Regolamento (UE) 575/2013.
[56] Direttiva 2008/48/CE.
[57] Direttiva 2009/138/CE.
[58] Direttiva 2013/36/UE.
[59] Direttiva 2014/17/UE.
[60] Direttiva (UE) 2016/97.
[61] Il Meccanismo di vigilanza unico composto dalla Banca centrale europea (BCE) e dalle autorità nazionali competenti (ANC) degli Stati membri partecipanti, è stato istituito dal Regolamento (UE) 1024/2013, del Consiglio. Il quadro di cooperazione nell’ambito del Meccanismo di vigilanza unico è disciplinato dal Regolamento (UE) 468/2014, della Banca Centrale Europea.
[62] Sul ruolo e le funzioni dell’Ufficio per l’IA, v. M.L. Passador, AI in the Vault: AI Act’s Impact on Financial Regulation, 56 Loy. U. Chi. L.J. 257, 273-280 (2026); A. Zarra, sub art. 64, in A. Mantelero, G. Resta, G.M. Riccio (a cura di), Intelligenza artificiale. Commentario, cit., 601 ss.
[63] Nelle conclusioni del saggio di M.L. Passador, AI Act and the ECB: Steering Financial Supervision in the EU, in Columbia Journal of European Law, 2025, Vol. 30, No. 2, 259-308, si osserva quanto segue: «AI is reshaping the financial landscape, introducing novel prospects and risks for banks, regulators, and consumers alike. The AI Office and the ECB stand at the forefront of managing this transformation, ensuring that AI application adheres to ethical standards, legal frameworks, and EU principles. Yet, achieving this demands a nuanced equilibrium between fostering innovation and maintaining stability, between cooperation and autonomy, and between standardization and flexibility. Collaboration between the AI Office and the ECB, characterized by mutual trust and effective communication, is crucial for establishing a coherent and inclusive AI governance structure within the EU».
[64] Lo sottolinea, in particolare l’OCSE, nel documento intitolato Supervision of Artificial Intelligence in Finance. Challenges, Policies and Practices, in OECD Artificial Intelligence Papers, January 2026, no. 54: «Supervisory authorities must grapple with AI systems that are increasingly integrated into the processes of financial institutions, are dynamic in nature and are often opaque in their functioning, potentially posing challenges for traditional oversight mechanisms and the interpretation of regulatory frameworks» (p. 16).
[65] Si vedano le considerazioni formulate dalla Vicepresidente del Board of Governors del Federal Reserve System in occasione dell’evento dal titolo «Financial Stability Oversight Council Artificial Intelligence Series Roundtable on Cybersecurity and Risk Management», svoltosi a Washington, D.C. il 1° maggio 2026 (M.W. Bowman, Artificial Intelligence in the Financial System, che può leggersi all’URL https://www.federalreserve.gov/newsevents/speech/bowman20260501a.htm).
[66] Al riguardo, M.W. Bowman, Artificial Intelligence in the Financial System, cit., mette in luce che: «this guidance has been vague in its scope and application. Innovation is a necessary component of financial services, and supervisory guidance should not be a barrier for banks to engage with new and evolving tools and technologies. Supervisors must take a balanced approach to new and emerging risks and the expected benefits while preserving the safety of the financial system».
[67] In argomento, cfr. S. Samir Kiuhan-Vásquez, Transforming financial supervision with AI: insights from the EU, in L. Moretti, L. Rinaldi, P. Schlosser (eds.), Digital finance in the EU: navigating new technological trends and the AI revolution, European University Institute, 2024, 87-94.
[68] In un discorso tenuto a Lisbona il 14 ottobre 2025, un componente del Supervisory Board della BCE (P. Machado, Artificial intelligence and supervision: innovation with caution, disponibile all’URL https://www.bankingsupervision.europa.eu/press/speeches/date/2025/html/ssm.sp251014~5bc6e60334.en.html), ha posto l’enfasi sulla complessità del concetto di stabilità finanziaria e sulle sue ricadute in termini di rapporti uomo/macchina: «Financial stability is complex. It is not a matter of a few simple rules. There is no well-defined target function to be optimised. Supervision requires deep understanding, evidence-based analysis and intuition based on experience and underlying human values. It also requires critical discussion and an open mind. If we do all of this well, the future of supervision will not be machines supervising banks. It will be humans supervising more effectively – supported by machines – with more time to engage where we add the most value».
